Web Application Security

use-authorization-manager 使用 AuthorizationManager API而不是 SecurityMetadataSource（默认为true）。

access-decision-manager-ref 使用这个 AuthorizationManager，而不是从 <intercept-url> 元素中派生出一个。

access-decision-manager-ref 可选的属性，指定 AccessDecisionManager 实现的ID，它应该被用于授权HTTP请求。默认情况下，一个 AffirmativeBased 实现被用于一个 RoleVoter 和一个 AuthenticatedVoter。

authentication-manager-ref 对该 http 元素创建的 FilterChain 所使用的 AuthenticationManager 的引用。

observation-registry-ref 对用于 FilterChain 和相关组件的 ObservationRegistry 的引用。

auto-config 自动注册登录表单、BASIC认证、注销服务。如果设置为 "true"，所有这些功能都会被添加（尽管你仍然可以通过提供各自的元素来定制每个功能的配置）。如果没有指定，默认为 "false"。不建议使用这个属性。使用明确的配置元素代替，以避免混淆。

create-session 控制 Spring Security 类创建 HTTP 会话（Session）的急切性。选项包括。

disable-url-rewriting 防止Session ID被附加到应用程序的URL上。如果这个属性被设置为 true，客户必须使用cookie。默认情况下是 true。

entry-point-ref 通常情况下，使用的 AuthenticationEntryPoint 将根据已配置的认证机制来设置。这个属性允许通过定义一个自定义的 AuthenticationEntryPoint bean来覆盖这种行为，它将启动认证（authentication）过程。

jaas-api-provision 如果有的话，以从 JaasAuthenticationToken 获得的 Subject 来运行请求，这是在栈中添加 JaasApiIntegrationFilter Bean实现的。默认为 false。

name 一个Bean标识符（ID），用于在上下文中引用该Bean的其他地方。

once-per-request 对应于 FilterSecurityInterceptor 的 observeOncePerRequest 属性。默认为 false。

filter-all-dispatcher-types 对应于 AuthorizationFilter 的 shouldFilterAllDispatcherTypes 属性。当 use-authorization-manager=false 时不工作。 默认为 true。

pattern 为 http 元素定义一个pattern，可以控制将通过其定义的过滤器列表过滤的请求。这种解释取决于配置的 请求匹配器（request-matcher）。如果没有定义 pattern，所有的请求都将被匹配，所以应该首先声明最具体的 pattern。

realm 设置用于基本认证（basic authentication）的 realm 名称（如果启用）。对应于 BasicAuthenticationEntryPoint 的 realmName 属性。

request-matcher 定义 FilterChainProxy 中使用的 RequestMatcher 策略（strategy），以及由 intercept-url 创建的Bean来匹配进入的请求。目前的选项是 mvc、ant、regex 和 ciRegex，分别用于 Spring MVC、ant、正则表达式和大小写不敏感的正则表达式。每个 intercept-url 元素使用其pattern、method和servlet-path属性创建一个单独的实例。Ant路径使用 AntPathRequestMatcher 进行匹配，正则表达式使用 RegexRequestMatcher 进行匹配，对于Spring MVC的路径匹配则使用 MvcRequestMatcher。关于具体如何进行匹配的更多细节，请参见这些类的Javadoc。如果 Spring MVC 存在于 classpath 中，MVC 是默认策略，如果没有，则使用Ant路径。

request-matcher-ref 对实现 RequestMatcher 的Bean的引用，该Bean将决定是否应该使用这个 FilterChain。这是一个比 pattern 更强大的选择。

security 通过将此属性设置为 none，一个请求 pattern 可以被映射到一个空的过滤器链。没有 security 将被应用，Spring Security 的任何功能都无法使用。

security-context-repository-ref 允许向 SecurityContextPersistenceFilter、SecurityContextHolderFilter、BasicAuthenticationFilter、UsernamePasswordAuthenticationFilter、ExceptionTranslationFilter、 LogoutFilter 等注入自定义 SecurityContextHolderStrategy。

security-context-explicit-save 如果为 true，使用 SecurityContextHolderFilter 而不是 SecurityContextPersistenceFilter。需要显式保存

security-context-repository-ref 允许将自定义的 SecurityContextRepository 注入 SecurityContextPersistenceFilter 中。

servlet-api-provision 提供 HttpServletRequest 安全方法的版本，如 isUserInRole() 和 getPrincipal()，这些方法是通过在栈中添加一个 SecurityContextHolderAwareRequestFilter Bean 来实现的。默认为 true。

use-expressions 启用 access 属性中的EL表达式，如 基于表达式的访问控制 一章中所述。默认值是 true。

access-denied-handler

anonymous

cors

csrf

custom-filter

expression-handler

form-login

headers

http-basic

intercept-url

jee

logout

oauth2-client

oauth2-login

oauth2-resource-server

password-management

port-mappings

remember-me

request-cache

saml2-login

saml2-logout

session-management

x509

http

error-page 拒绝访问的页面，如果认证用户请求一个他们没有权限访问的页面，他们将被重定向到这个页面。

ref 定义了一个对 AccessDeniedHandler 类型的 Spring Bean 的引用。

ref 可选的属性，指定 CorsFilter 的bean名称。

cors-configuration-source-ref 可选的属性，指定要注入由XML命名空间创建的 CorsFilter 中的 CorsConfigurationSource 的bean名称。

http

defaults-disabled 可选的属性，指定禁用默认的 Spring Security 的 HTTP 响应头。默认是 false（包括默认头信息）。

disabled 可选的属性，指定禁用Spring Security的HTTP响应头。默认是 false（头信息被启用）。

http

cache-control

content-security-policy

content-type-options

cross-origin-embedder-policy

cross-origin-opener-policy

cross-origin-resource-policy

feature-policy

frame-options

header

hpkp

hsts

permission-policy

referrer-policy

xss-protection

disabled 指定是否应禁用缓存控制。默认为 false。

headers

disabled 指定是否应禁用 Strict-Transport-Security。默认为false。

include-sub-domains 指定是否应包括子域。默认为 true。

max-age-seconds 指定该主机被视为已知HSTS主机的最长时间。默认为一年。

request-matcher-ref 用来确定是否应该设置 header 的 RequestMatcher 实例。默认是如果 HttpServletRequest.isSecure() 为 true。

preload 指定是否应包括预加载。默认为 false。

headers

disabled 指定是否应禁用HTTP公钥锁定（HPKP）。默认为 true。

include-sub-domains 指定是否应包括子域。默认为false。

max-age-seconds 设置 Public-Key-Pins 头的max-age指令的值。默认为60天。

report-only 指定浏览器是否应该只报告 pin validation 失败。默认为 true。

report-uri 指定浏览器应向其报告 pin validation 失败的URI。

headers

pin

algorithm 加密的哈希算法。默认为SHA256。

pins

policy-directives Content-Security-Policy header 的安全策略指令，如果 report-only 被设置为 true，则使用 Content-Security-Policy-Report-Only 头。

report-only 设置为 true，启用 Content-Security-Policy-Report-Only 头，仅用于报告违反政策的情况。默认值为 false。

headers

policy Referrer-Policy 头的策略。默认为 "no-referrer"。

headers

policy-directives Feature-Policy header 的安全政策指令。

headers

disabled 如果禁用，X-Frame-Options header 将不被包含。默认为 false。

policy

headers

policy 为 Permissions-Policy header 写入的policy值。

headers

xss-protection-disabled 不要包括 reflected / Type-1 Cross-Site Scripting (XSS)保护的 header。

xss-protection-header-value 明确设置 reflected / Type-1 Cross-Site Scripting (XSS) header 的值。其中之一。"0", "1", "1; mode=block"。默认为 "0"。

headers

disabled 指定是否应禁用 Content Type 选项。默认为 false。

headers

header-name header name。

value 要添加的 header 的 value。

ref 对 HeaderWriter 接口的自定义实现的引用。

headers

http

enabled 在默认的命名空间设置中，匿名的 "authentication" 设施被自动启用。你可以用这个属性禁用它。

granted-authority 应该分配给匿名请求的授权。通常情况下，这被用来给匿名请求分配特定的角色，这些角色随后可以被用于授权决策。如果没有设置，默认为 ROLE_ANONYMOUS。

key 提供者和过滤器之间共享的 key。这通常不需要被设置。如果不设置，它将默认为一个安全的随机生成的值。这意味着在使用匿名功能时，设置这个值可以改善启动时间，因为安全的随机值可能需要一段时间来生成。

username 应该分配给匿名请求的 username。这允许识别 principal，这对日志和审计可能很重要。如果没有设置，默认为 anonymousUser。

http

disabled 可选的属性，指定禁用 Spring Security 的 CSRF 保护。默认是 false（CSRF保护被启用）。强烈建议让CSRF保护处于启用状态。

token-repository-ref 要使用的 CsrfTokenRepository。默认是 HttpSessionCsrfTokenRepository。

request-handler-ref 要使用的可选 CsrfTokenRequestHandler。默认是 CsrfTokenRequestAttributeHandler。

request-matcher-ref 用来确定是否应该应用 CSRF 的 RequestMatcher 实例。默认是任何HTTP方法，除了 "GET"、"TRACE"、"HEAD"、"OPTIONS"。

http

after 过滤器紧随其后，自定义过滤器应放在链中。只有那些希望将自己的过滤器混入 security 过滤器链并对标准Spring Security过滤器有一定了解的高级用户才会需要这个功能。过滤器名称映射到特定的Spring Security实现过滤器。

before 自定义过滤器在链中应放在紧邻的过滤器之前。

position 自定义过滤器在链中的明确位置。如果你要替换一个标准的过滤器，请使用。

ref 定义了一个对实现 Filter 的Spring Bean的引用。

global-method-security

http

method-security

websocket-message-broker

ref 定义了一个对实现 SecurityExpressionHandler 的 Spring Bean 的引用。

http

always-use-default-target 如果设置为 true，用户将总是从 default-target-url 给出的值开始，无论他们是如何到达登录页面的。映射到 UsernamePasswordAuthenticationFilter 的 alwaysUseDefaultTargetUrl 属性。默认值为 false。

authentication-details-source-ref 对认证过滤器将使用的 AuthenticationDetailsSource 的引用。

authentication-failure-handler-ref 可以作为 authentication-failure-url 的替代品，让你完全控制认证失败后的导航流。该值应该是 application context 中 AuthenticationFailureHandler Bean的名称。

authentication-failure-url 映射到 UsernamePasswordAuthenticationFilter 的 authenticationFailureUrl 属性。定义了登录失败时浏览器将被重定向到的URL。默认为 /login?error，这将由自动登录页面生成器自动处理，重新渲染带有错误信息的登录页面。

authentication-success-handler-ref 这可以作为 default-target-url 和 always-use-default-target 的替代品，让你完全控制认证成功后的导航流程。该值应该是 application context 中 AuthenticationSuccessHandler Bean的名称。默认情况下， SavedRequestAwareAuthenticationSuccessHandler 的实现被使用，并注入default-target-url 。

default-target-url 映射到 UsernamePasswordAuthenticationFilter 的 defaultTargetUrl 属性。如果没有设置，默认值是 "/"（应用程序root）。用户在登录后会被带到这个URL，前提是他们在试图访问安全资源时没有被要求登录，此时他们会被带到最初请求的URL。

login-page 应该用于呈现登录页面的URL。映射到 LoginUrlAuthenticationEntryPoint 的 loginFormUrl 属性。默认为 "/login"。

login-processing-url 映射到 UsernamePasswordAuthenticationFilter 的 filterProcessesUrl 属性。默认值是 "/login"。

password-parameter 包含密码的请求参数的名称。默认为 "password"。

username-parameter 请求参数的名称，其中包含用户名。默认为 "username"。

authentication-success-forward-url 将 ForwardAuthenticationSuccessHandler 映射到 UsernamePasswordAuthenticationFilter 的 authenticationSuccessHandler 属性。

authentication-failure-forward-url 将 ForwardAuthenticationFailureHandler 映射到 UsernamePasswordAuthenticationFilter 的 authenticationFailureHandler 属性。

http

client-registration-repository-ref 对 ClientRegistrationRepository 的引用。

authorized-client-repository-ref 对 OAuth2AuthorizedClientRepository 的引用。

authorized-client-service-ref 对 OAuth2AuthorizedClientService 的引用。

authorization-request-repository-ref 对 AuthorizationRequestRepository 的引用。

authorization-request-resolver-ref 对 OAuth2AuthorizationRequestResolver 的引用。

authorization-redirect-strategy-ref 对 authorization RedirectStrategy 的引用。

access-token-response-client-ref Reference to the OAuth2AccessTokenResponseClient.

user-authorities-mapper-ref 对 GrantedAuthoritiesMapper 的引用。

user-service-ref 对 OAuth2UserService 的引用。

oidc-user-service-ref 对 OpenID Connect OAuth2UserService 的引用。

login-processing-url filter 处理认证请求的URI。

login-page 发送给用户登录的URI。

authentication-success-handler-ref 对 AuthenticationSuccessHandler 的引用。

authentication-failure-handler-ref 对 AuthenticationFailureHandler 的引用。

jwt-decoder-factory-ref 对 OidcAuthorizationCodeAuthenticationProvider 使用的 JwtDecoderFactory 的引用。

http

client-registration-repository-ref 对 ClientRegistrationRepository 的引用。

authorized-client-repository-ref 对 OAuth2AuthorizedClientRepository 的引用。

authorized-client-service-ref 对 OAuth2AuthorizedClientService 的引用。

authorization-code-grant

oauth2-client

authorization-request-repository-ref 对 AuthorizationRequestRepository 的引用。

authorization-redirect-strategy-ref 对 authorization RedirectStrategy 的引用。

authorization-request-resolver-ref 对 OAuth2AuthorizationRequestResolver 的引用。

access-token-response-client-ref 对 OAuth2AccessTokenResponseClient 的引用。

client-registration

provider

client-registrations

registration-id ClientRegistration 的唯一标识ID。

client-id 客户端ID。

client-secret 客户端 secret。

client-authentication-method 用于验证客户和提供者的方法。支持的值是 client_secret_basic, client_secret_post, private_key_jwt, client_secret_jwt 和 none (public clients)。

authorization-grant-type OAuth 2.0授权框架定义了四种 Authorization Grant 类型。支持的值是 authorization_code, client_credentials, password，以及扩展 grant type urn:ietf:params:oauth:grant-type:jwt-bearer。

redirect-uri 客户端注册的重定向URI，Authorization Server 在最终用户认证和授权访问客户端后将其重定向到最终用户的 user-agent。

scope 客户端在授权请求流程中要求的scope，如openid、电子邮件或个人资料。

client-name 用于客户端的描述性名称。这个名字可以在某些情况下使用，比如在自动生成的登录页面中显示客户端的名字。

provider-id 对相关提供商的引用。可以引用 <provider> 元素或使用常见的提供者之一（谷歌、Github、Facebook、okta）。

client-registrations

provider-id provider 的唯一标识ID。

authorization-uri 授权服务器的授权端点URI。

token-uri 授权服务器的Token端点URI。

user-info-uri 用于访问已验证的终端用户的 claims/attribute 的UserInfo端点URI。

user-info-authentication-method 向UserInfo端点发送访问令牌时使用的认证方法。支持的值是 header，form 和 query。

user-info-user-name-attribute UserInfo 响应中返回的引用终端用户的名称或标识符的属性的名称。

jwk-set-uri 用于从授权服务器检索 JSON Web Key (JWK) 集的URI，其中包含用于验证ID令牌的 JSON Web Signature (JWS) 的加密密钥，也可选择用户信息响应。

issuer-uri 用于最初 Configuration endpoint 注册的URI，使用发现OpenID连接提供者的配置端点或授权服务器的 Metadata endpoint。

http

jwt

opaque-token

authentication-manager-resolver-ref 对 AuthenticationManagerResolver 的引用，它将在请求时解析 AuthenticationManager。

bearer-token-resolver-ref 对 BearerTokenResolver 的引用，它将从请求中检索出 bearer token。

entry-point-ref 对将处理未授权请求的 AuthenticationEntryPoint 的引用

oauth2-resource-server

jwt-authentication-converter-ref 对 Converter<Jwt, AbstractAuthenticationToken> 的引用。

jwt-decoder-ref 对 JwtDecoder 的引用。这是一个较大的组件，覆盖了 jwk-set-uri。

jwk-set-uri JWK Set Uri，用于从OAuth 2.0授权服务器加载签名验证密钥。

oauth2-resource-server

introspector-ref 对 OpaqueTokenIntrospector 的引用。这是一个更大的组件，它覆盖了`introspection-uri`， client-id， 和 client-secret.

introspection-uri 自省（Introspection）Uri，用于自省 opaque token 的细节。应该伴随着 client-id 和 client-secret。

client-id 客户端ID，用于针对所提供的 introspection-uri 进行客户端认证。

client-secret 客户端ID，用于针对所提供的 introspection-uri 进行客户端认证。

authentication-converter-ref 对 OpaqueTokenAuthenticationConverter 的引用。负责将成功的自省（introspection）结果转换为一个 Authentication 实例。

asserting-party

relying-party-registration

relying-party-registrations

registration-id RelyingPartyRegistration 的唯一标识ID。

metadata-location 断言方的元数据位置。

client-id 依赖方的 EntityID.

assertion-consumer-service-location AssertionConsumerService 位置。相当于依赖方的 <SPSSODescriptor> 中的 <AssertionConsumerService Location="…​"/> 的值。

assertion-consumer-service-binding AssertionConsumerService Binding。相当于依赖方的 <SPSSODescriptor> 中的 <AssertionConsumerService Binding="…​"/> 的值。支持的值是 POST 和 REDIRECT。

single-logout-service-location SingleLogoutService Location。相当于依赖方的 <SPSSODescriptor> 中 <SingleLogoutService Location="…​"/> 的值。

single-logout-service-response-location SingleLogoutService ResponseLocation。相当于依赖方的 <SPSSODescriptor> 中 <SingleLogoutService Location="…​"/> 的值。

single-logout-service-binding SingleLogoutService Binding。相当于依赖方的 <SPSSODescriptor> 中 <SingleLogoutService Binding="…​" /> 的值。支持的值是 POST 和 REDIRECT。

asserting-party-id 对相关断言方的引用。必须引用一个 <asserting-party> 元素。

decryption-credential

signing-credential

relying-party-registration

certificate-location certificate 证书的位置。

private-key-location 信赖方私钥的位置。

relying-party-registration

certificate-location certificate 证书的位置。

private-key-location 信赖方私钥的位置。

relying-party-registrations

asserting-party-id 断言方的唯一标识ID。

entity-id 断言方的EntityID。

want-authn-requests-signed WantAuthnRequestsSigned 设置，表示断言方希望依赖方在发送 AuthnRequest 前签署。

single-sign-on-service-location SingleSignOnService location.

single-sign-on-service-binding SingleSignOnService Binding， 支持的值是 POST 和 REDIRECT。

signing-algorithms org.opensaml.saml.ext.saml2alg.SigningMethod Algorithms 的列表，按优先顺序排列，用于此断言方。

single-logout-service-location SingleLogoutService Location。相当于断言方的 <IDPSSODescriptor> 中 <SingleLogoutService Location="…​"/> 的值。

single-logout-service-response-location SingleLogoutService ResponseLocation。相当于断言方 <IDPSSODescriptor> 中 <SingleLogoutService ResponseLocation="…​" /> 的值。

single-logout-service-binding SingleLogoutService Binding。相当于断言方的 <IDPSSODescriptor> 中 <SingleLogoutService Binding="…​"/> 的值。支持的值是 POST 和 REDIRECT。

encryption-credential

verification-credential

asserting-party

certificate-location certificate 的位置。

private-key-location 信赖方私钥的位置。

asserting-party

certificate-location certificate 的位置。

private-key-location 信赖方私钥的位置。

http

authentication-details-source-ref 对认证过滤器将使用的 AuthenticationDetailsSource 的引用。

entry-point-ref 被 BasicAuthenticationFilter 使用的 AuthenticationEntryPoint。

ref 定义了一个对实现 HttpFirewall 的 Spring Bean 的引用。

filter-security-metadata-source

http

access 列出将存储在 FilterInvocationSecurityMetadataSource 中的访问属性，用于定义的 URL pattern/method 组合。这应该是一个以逗号分隔的 security configuration 属性（如角色名称）的列表。

method HTTP方法，该方法将与模式和Servlet路径（可选）结合使用，以匹配传入的请求。如果省略，任何方法都可以匹配。如果一个相同的模式被指定为有方法和无方法，特定方法的匹配将被优先考虑。

pattern 定义 URL path 的 pattern。内容将取决于包含http元素的 request-matcher 属性，所以如果Spring MVC在classpath中，将默认为MVC匹配器。

request-matcher-ref 对 RequestMatcher 的引用，将用于确定是否使用此 <intercept-url>。

requires-channel 可以是 "http" 或 "https"，这取决于一个特定的 URL pattern 是否应该通过 HTTP 或 HTTPS 访问。另外，当没有偏好时，可以使用值 "any"。如果这个属性出现在任何 <intercept-url> 元素上，那么 ChannelProcessingFilter 将被添加到过滤器栈中，并将其额外的依赖关系添加到 application context。

servlet-path 将与pattern和HTTP方法结合使用的servlet路径，以匹配一个传入的请求。这个属性只适用于request-matcher 是’mvc’时。此外，该值只在以下2种使用情况下需要。1）在 ServletContext 中注册了2个或更多的 HttpServlet，它们的映射以 '/' 开始，并且是不同的；2）pattern以注册的 HttpServlet 路径的相同值开始，不包括默认（根）HttpServlet '/'。

http

mappable-roles 在传入的 HttpServletRequest 中寻找的角色的逗号分隔的列表。

user-service-ref 对一个 user-service（或 UserDetailsService Bean）的引用 Id

http

delete-cookies 以逗号分隔的cookie名称列表，这些cookie在用户注销时应被删除。

invalidate-session 映射到 SecurityContextLogoutHandler 的 invalidateHttpSession。默认为 "true"，所以 session 将在注销时被废止。

logout-success-url 用户注销后将被带到的目标URL。默认为 <form-login-login-page>/?logout（即 /login?logout）。

logout-url 用于注销的URL（即将被过滤器处理）。默认为 "/logout"。

success-handler-ref 可用于提供 LogoutSuccessHandler 的一个实例，该实例将被调用以控制注销后的导航。

http

relying-party-registration-repository-ref RelyingPartyRegistrationRepository 的引用。

authentication-request-repository-ref Saml2AuthenticationRequestRepository 的引用。

authentication-request-context-resolver-ref Saml2AuthenticationRequestResolver 的引用。

authentication-converter-ref AuthenticationConverter 的引用。

login-processing-url 过滤器处理认证请求的URI。

login-page 发送给用户登录的URI。

authentication-success-handler-ref AuthenticationSuccessHandler 的引用。

authentication-failure-handler-ref AuthenticationFailureHandler 的引用。

authentication-manager-ref AuthenticationManager 的引用。

http

logout-url 依赖方或断言方可以触发注销的URL。

logout-request-url 断言方可以发送SAML 2.0注销请求的URL。

logout-response-url 断言方可以发送SAML 2.0注销响应的URL。

relying-party-registration-repository-ref RelyingPartyRegistrationRepository 的引用。

logout-request-validator-ref Saml2LogoutRequestValidator 的引用。

logout-request-resolver-ref Saml2LogoutRequestResolver 的引用。

logout-request-repository-ref Saml2LogoutRequestRepository 的引用。

logout-response-validator-ref Saml2LogoutResponseValidator 的引用。

logout-response-resolver-ref Saml2LogoutResponseResolver 的引用。

http

change-password-page 更改密码的页面。默认为 "/change-password"。

http

port-mapping

port-mappings

http 要使用的http端口。

https 要使用的https端口。

http

authentication-success-handler-ref 如果需要自定义导航，在 RememberMeAuthenticationFilter 上设置 AuthenticationSuccessHandler 属性。该值应该是应用 application context 中的 AuthenticationSuccessHandler Bean的名称。

data-source-ref 一个对 DataSource bean 的引用。如果设置了这个， PersistentTokenBasedRememberMeServices 将被使用并配置一个 JdbcTokenRepositoryImpl 实例。

remember-me-parameter 用于切换 remember-me 认证的请求参数的名称。默认为 "remember-me"。映射到 AbstractRememberMeServices 的 "parameter" 属性。

remember-me-cookie 用于存储 remember-me 的认证的cookie名称。默认为 "remember-me"。对应于 AbstractRememberMeServices 的 "cookieName "属性。

key 映射到 AbstractRememberMeServices 的 "key" 属性。应该设置为一个唯一的值，以确保 remember-me cookies只在一个应用程序中有效 ^[3]。如果没有设置，将生成一个安全的随机值。由于生成安全的随机值可能需要一段时间，明确设置这个值可以帮助改善使用 remember-me 功能时的启动时间。

services-alias 将内部定义的 RememberMeServices 导出为一个Bean别名，允许它被 application context 中的其他Bean使用。

services-ref 允许完全控制将被过滤器使用的 RememberMeServices 实现。该值应该是应用上下文中实现该接口的bean的 id。如果正在使用注销过滤器（logout filter），还应该实现 LogoutHandler。

token-repository-ref 配置 PersistentTokenBasedRememberMeServices，但允许使用一个自定义的 PersistentTokenRepository bean。

token-validity-seconds 映射到 AbstractRememberMeServices 的 tokenValiditySeconds 属性。指定记住我的cookie的有效时间，以秒为单位。默认情况下，它的有效期为14天。

use-secure-cookie 建议记住我的cookie只通过HTTPS提交，因此应该被标记为 "secure"。默认情况下，如果进行登录请求的连接是安全的（因为它应该是安全的），将使用secure的cookie。如果你把这个属性设置为 false，secure cookie将不被使用。把它设置为 true 将总是在cookie上设置secure标志。这个属性映射到 AbstractRememberMeServices 的 useSecureCookie 属性。

user-service-ref Remember-me服务的实现需要访问 UserDetailsService，所以在应用环境中必须有一个定义。如果只有一个，它将被命名空间配置自动选择和使用。如果有多个实例，你可以使用这个属性明确指定一个bean id。

http

ref 定义了一个对Spring Bean的引用，它是一个 RequestCache。

http

authentication-strategy-explicit-invocation 将此属性设置为 "true" 意味着将不注入 SessionManagementFilter，并且需要显式调用 SessionAuthenticationStrategy。

invalid-session-url 设置此属性将为 SessionManagementFilter 注入配置有该属性值的 SimpleRedirectInvalidSessionStrategy。当一个无效的 session ID被提交时，该策略将被调用，重定向到配置的URL。

invalid-session-url 允许注入由 SessionManagementFilter 使用的 InvalidSessionStrategy 实例。使用此属性或 invalid-session-url 属性，但不能同时使用。

session-authentication-error-url 定义错误页面的URL，当 SessionAuthenticationStrategy 引发异常时应显示该页面。如果不设置，一个未经授权的（401）错误代码将被返回给客户端。请注意，如果错误发生在基于表单的登录过程中，这个属性并不适用，在这种情况下，认证失败的URL将被优先考虑。

session-authentication-strategy-ref 允许注入由 SessionManagementFilter 使用的 SessionAuthenticationStrategy 实例。

session-fixation-protection 表示在用户认证时如何应用会话固定（session fixation）保护。如果设置为 "none"，将不应用任何保护。"newSession" 将创建一个新的空会话，只迁移Spring Security相关的属性。"migrateSession" 将创建一个新的会话，并将所有会话属性复制到新的会话中。在Servlet 3.1（Java EE 7）和更新的容器中，指定 "changeSessionId" 将保留现有会话，并使用容器提供的会话固定保护（HttpServletRequest#changeSessionId()）。在Servlet 3.1和更新的容器中默认为 "changeSessionId"，在旧的容器中默认为 "migrateSession"。如果在较早的容器中使用 "changeSessionId"，会抛出一个异常。

concurrency-control

session-management

error-if-maximum-exceeded 如果设置为 "true"，当用户试图超过允许的最大会话数量时，将导致 SessionAuthenticationException。默认行为是使原始会话过期。

expired-url 如果用户试图使用一个已经被并发会话控制器 "过期" 的会话，因为用户已经超过了允许的会话数量并在其他地方再次登录，那么用户将被重定向到的URL。应该被设置，除非 exception-if-maximum-exceeded 被设置。如果没有提供值，过期消息将直接写回到响应中。

expired-url 允许注入 ConcurrentSessionFilter 使用的 ExpiredSessionStrategy 实例。

max-sessions 映射到 ConcurrentSessionControlAuthenticationStrategy 的 maximumSessions 属性。指定 -1 为该值，以支持无限个会话。

session-registry-alias 有一个对内部会话注册中心的引用也很有用，可以在你自己的Bean或管理界面中使用。你可以使用 session-registry-alias 属性公开内部Bean，给它一个可以在你的配置中使用的名字。

session-registry-ref 用户可以使用 session-registry-ref 属性提供自己的 SessionRegistry 实现。其他并发的会话控制 Bean 将被连接起来使用它。

http

authentication-details-source-ref AuthenticationDetailsSource 的引用。

subject-principal-regex 定义一个正则表达式，用于从证书中提取用户名（用于 UserDetailsService）。

user-service-ref 在配置了多个实例的情况下，允许一个特定的 UserDetailsService 被用于 X.509。如果没有设置，将尝试自动定位一个合适的实例并使用它。

request-matcher 定义用于匹配传入请求的策略。目前的选项是 "ant"（用于ant路径模式），"regex" 用于正则表达式，"ciRegex" 用于不区分大小写的正则表达式。

filter-chain

filter-chain-map

filters 以逗号分隔的对实现 Filter 的 Spring Bean 的引用列表。值 "none" 意味着此 FilterChain 不应该使用 Filter。

pattern 一个与 request-matcher 结合起来创建 RequestMatcher 的 pattern。

request-matcher-ref 对 RequestMatcher 的引用，它将被用来确定是否应该调用 filters 属性中的任何 Filter。

id 一个Bean的唯一ID标识符，用于在上下文中引用该Bean的其他地方。

request-matcher 定义用于匹配传入请求的策略。目前的选项是 "ant"（用于ant路径模式），"regex" 用于正则表达式，"ciRegex" 用于不区分大小写的正则表达式。

use-expressions 启用 <intercept-url> 元素中 'access' 属性中的表达式，而不是传统的配置属性列表。默认为 "true"。如果启用，每个属性应该包含一个布尔表达式。如果表达式评估为 'true'，将被授予访问权。

intercept-url